mcpField
S
security-scanning

security-scanning

github.com/bobmatnyc安全78372 次安装15 周前更新
代码仓库

关于 security-scanning

用于指导团队检查密钥、依赖项、SAST 结果和开源组件风险的安全扫描技能，并提供风险门槛及例外处理规范。

主要功能

  1. 01排查泄露的密钥并轮换
  2. 02按严重程度设置依赖门槛
  3. 03引入高信噪比 SAST 检查
  4. 04评估许可证、CVE 和过时情况
  5. 05要求例外注明原因、负责人和到期日

适用场景

  1. 01设置依赖项安全门槛
  2. 02评估第三方组件风险
  3. 03确定漏洞修复优先级
  4. 04管理有期限的安全例外

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/bobmatnyc/claude-mpm-skills --skill security-scanning

安装后在 Claude Code 中输入/security-scanning确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

metadata.json
references/
ci-workflows.md
common-findings-and-fixes.md
open-source-safety.md
supply-chain-and-sbom.md
tooling-matrix.md
triage-and-remediation.md

详细介绍

安全扫描

快速入门

  • 密钥：快速失败；暴露后立即轮换。
  • 依赖项：将严重和高危问题设为门禁；自动化更新。
  • SAST：从高信号规则开始；逐步收紧标准。
  • 开源安全：从三个维度评估组件——许可证等级、按严重性加权的 CVE、过时程度。
  • 例外：必须注明原因、负责人和到期时间。

开源安全

第三方组件的风险不只是“是否存在漏洞”。应从三个相互独立的维度评估每个组件，并以风险最高的维度作为门禁依据：

  • 许可证风险： HIGH = 强著佐权 / GPL/AGPL/LGPL（存在整个应用披露的风险）； MEDIUM = 弱著佐权 / MPL、EPL（仅需披露修改内容）；LOW = 宽松许可证 / MIT、Apache-2.0、BSD。未知或 NOASSERTION → 在确认前按 HIGH 处理。
  • CVE 加权： 按严重性加权（严重 ≫ 高危 ≫ 中危 ≫ 低危），而非统计原始数量；严重和高危问题会阻止通过，中危和低危问题则由负责人跟进并设定到期时间。
  • 过时程度： 根据与最新版本的差距评分；落后多个主版本或上游不再维护的组件风险较高。

完整框架、等级表、CVE 加权模型、过时程度评分和传递依赖信任模型，请参阅 references/open-source-safety.md。

后续加载（参考资料）

  • references/tooling-matrix.md
  • references/ci-workflows.md
  • references/triage-and-remediation.md
  • references/common-findings-and-fixes.md
  • references/supply-chain-and-sbom.md
  • references/open-source-safety.md

评论

支持 Markdown